Google dehnt seine Prämienprogramme aus, um die Sicherheit von Open-Source-Projekten zu fördern, die von grundlegender Bedeutung für das Internet sind. Das neue Programm „Patch Rewards“ belohnt aber nicht das bloße Aufspüren von Bugs, sondern ihre praktische Behebung.
Bisher konzentrierten sich Googles Programme auf die Aufdeckung von Schwachstellen in seinem Browser Chrome, seinen Diensten und Websites. In diesem Jahr verfünffachte es die Prämien für Entdecker von Chromium-Lücken. Seit dem Start seiner Prämienprogramme im Jahr 2010 zahlte es über 2 Millionen Dollar aus.
„Wir dachten daran, einfach ein Bugs-Finden-Programm für Open-Source-Software aufzulegen, aber das hätte leicht danebengehen können“, schreibt Michael Zalewski von Googles Security-Team in einem Blogeintrag. „Bug-Prämien bewirken neben zutreffenden Berichten viel bedeutungslosen Traffic – ausreichend, um die freiwilligen Mitarbeiter eines Projekts völlig zu überwältigen.“ Darüber hinaus erfordere die Lösung eines Fehlers oft mehr Aufwand, als ihn zu finden.
„Wir entschieden uns daher, etwas Neues zu versuchen – durch finanzielle Anreize für bodenständige, proaktive Verbesserungen, die über die bloße Behebung eines bekannten Sicherheitsfehlers hinausgehen“, heißt es weiter. Das Programm soll allmählich eingeführt und zunehmend erweitert werden. Zunächst ist es auf eine Anzahl essenzieller Projekte begrenzt, zu denen OpenSSL, zlib, OpenSSH, BIND, ISC DHCP, libjpeg, libpng und giflib gehören. Von Anfang an eingebunden sind mit Chromium und Blink auch die Open-Source-Grundlagen von Google Chrome – sowie sicherheitskritische und häufig genutzte Komponenten des Linux-Kernels einschließlich KVM.
Später soll das Programm auf Apache httpd, lighttpd, nginx, Sendmail, Postfix, Exim, GCC, binutils, llvm und OpenVPN erweitert werden. Die Patches sollen zunächst direkt an die Projekt-Maintainer geschickt werden – und erst nach ihrer Akzeptanz eine Meldung an security-patches@google.com erfolgen. Sofern die Einreichung eine „belegbare positive Auswirkung auf die Sicherheit des Projekts“ hat, stellt Google Prämien in Höhe von jeweils 500 Dollar bis 3133,70 Dollar in Aussicht.
Die offiziellen Bedingungen führen aus, dass es sich nicht um einen Wettbewerb, sondern um ein experimentelles Prämienprogramm handelt. Inwieweit Belohnungen ausgezahlt werden, liege daher vollständig im Ermessen von Google.
[mit Material von Chris Duckett, ZDNet.com]
Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
Erstmals liegen Preise für Verbraucher vor. Sie zahlen weniger als Geschäftskunden. Dafür beschränkt Microsoft den…
Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…
Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.
2023 erlitten neun von zehn Unternehmen in der DACH-Region Umsatzverluste und Kurseinbrüche in Folge von…
Der Report „Pacific Rim“ von Sophos beschreibt Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit staatlich unterstützten…
NVIDIA DGX SuperPOD soll voraussichtlich Mitte 2025 in Betrieb genommen und für Forschungsberechnungen genutzt werden.
